Троянская спам-машина
Компания «Доктор Веб» сообщила о распространении троянской программы Trojan.Proxy.23012, помогающей массово рассылать спам. Этот троянец обладает целым рядом особенностей. Он загружается на инфицированные компьютеры с использованием других вредоносных программ, в частности Trojan.PWS.Panda.2395. Исполняемый файл троянца сжат с использованием того же вирусного упаковщика, что и троянцы семейства Trojan.PWS.Panda, также известные под именами Zeus и Zbot, поэтому нередко он детектируется именно этой сигнатурной записью.
Проникнув в ОС, Trojan.Proxy.23012 распаковывается и загружается в память, после чего начинается процедура его инсталляции. В какую папку будет установлена вредоносная программа, зависит от версии ОС и от того, под какими правами был запущен установщик. В любом случае инсталлятор модифицирует системный реестр с целью обеспечить автоматический запуск троянца в процессе загрузки Windows. Также программа пытается отключить систему контроля учетных записей пользователей. Наконец, на финальном этапе установки троянец встраивается в процесс explorer.exe.
Ботнет, состоящий из инфицированных Trojan.Proxy.23012 компьютеров, используется злоумышленниками в качестве системы управления прокси-серверами, через которые по команде осуществляется рассылка почтового спама.
Установив соединение с удаленным командным центром, Trojan.Proxy.23012 по команде открывает прокси-туннель, посредством которого вирусописатели могут пользоваться протоколами SOCKS5, SOCKS4, HTTP (включая методы GET, POST, CONNECT). Для рассылки спама используются smtp-сервисы gmail.com, hotmail.com и yahoo.com.
Особенность данной вредоносной программы – методы взаимодействия ботнета с управляющим сервером: командный центр в режиме реального времени выбирает, через какие именно узлы сети запускать ту или иную рассылку, кроме того, в проксировании участвуют боты, установленные на компьютерах без внешнего IP-адреса. Еще одна особенность троянца: в нем прописан только один адрес управляющего центра, при блокировке которого троянец может быть обновлен через пиринговую сеть Trojan.PWS.Panda.2395.